serverless-webpack是否可降低安全风险？求其工作原理与机制解析

核心工作流程 #

• serverless-webpack以每个Lambda函数的入口文件为构建起点，调用Webpack的核心打包能力。
• 它会递归扫描代码中的require/import语句，追踪所有被直接或间接引用的模块——包括你自己的业务代码，以及node_modules里的包和其必要子依赖。
• 最终仅将这些实际被Lambda运行用到的模块打包成精简的bundle文件，替代整个node_modules文件夹部署到AWS Lambda。

如何识别Lambda所需的特定包？ #

• 静态代码分析：Webpack通过解析模块导入语句构建依赖树。比如你代码中引用了axios，它会自动包含axios本身，以及axios运行必须的子模块（如follow-redirects），但axios中未被用到的代码（比如仅适配浏览器环境的模块）会被直接剔除。
• Tree Shaking 机制：针对支持ES模块（ESM）的包，Webpack会自动移除代码中未被引用的导出内容，进一步压缩打包体积，剔除无用依赖。
• 自定义配置适配：如果遇到动态导入等特殊场景，你可以在webpack.config.js中通过externals、插件等配置手动调整依赖范围，确保必要模块被正确打包。

为何能降低安全风险？ #

你显式安装的业务包往往存在多层嵌套的子依赖，这些子依赖的安全状态你很难逐一排查：

• 很多安全漏洞出现在你代码从未实际调用的子依赖模块上——比如你用的某个包依赖了旧版本的lodash，但你的业务代码完全没用到这个lodash的任何功能。
• serverless-webpack打包时会把这些未被引用的子依赖全部排除在部署包之外，相当于从根源上移除了这些潜在的风险点，自然切断了攻击者利用这类未使用漏洞模块的途径。

内容的提问来源于stack exchange，提问作者Sh4dy